InvoicePlaneにおいて、ローカルファイルインクルージョンとログポイズニングを組み合わせたリモートコード実行の脆弱性

このRCE脆弱性は、攻撃者がInvoicePlaneサーバー上で完全な制御権を獲得することを可能にします。攻撃者は、Webシェルをアップロードしたり、機密情報を盗み出したり、システムをマルウェア感染させたりする可能性があります。特に、データベースへのアクセス権を得ることで、顧客情報や財務データが漏洩するリスクがあります。この脆弱性は、Log4Shellのような攻撃パターンと類似しており、深刻な影響をもたらす可能性があります。攻撃者は、InvoicePlaneの管理インターフェースにアクセスできる認証情報を持っている必要があります。

Organizations using InvoicePlane for invoice management, particularly those with self-hosted deployments and administrator accounts that are not adequately secured, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one user's InvoicePlane installation could potentially affect others.

• linux / server:

journalctl -u invoiceplane | grep -i "php code injection"

• generic web:

curl -I http://your-invoiceplane-server.com/public_invoice_template | grep -i "Content-Type: text/plain"

• php: Check the InvoicePlane configuration files for any unusual or unexpected entries in the publicinvoicetemplate setting. Look for suspicious file paths or attempts to include external files.

1. 2026-02-18Disclosure

   disclosure

1. 予約済み2026-02-02
2. 公開日2026-02-18
3. 更新日2026-02-19
4. EPSS 更新日2026-03-23

この脆弱性への対応として、InvoicePlaneをバージョン1.7.1にアップデートすることを強く推奨します。アップデートが困難な場合は、一時的な緩和策として、publicinvoicetemplate設定の入力を厳密に検証し、ログファイルへの書き込みを制限するWAFルールを適用することを検討してください。また、InvoicePlaneのログファイルを監視し、不審なアクティビティがないか確認することも重要です。アップデート後、InvoicePlaneのセキュリティ設定を再確認し、不要な機能やプラグインを無効化することで、攻撃対象領域を縮小できます。